ホームページのウイルス感染を確認する方法【無料でできる4STEP】

ホームページ（HP）のウイルス感染は、訪問者の端末に悪いものを届ける仕掛けを入れられる改ざんから、有害なファイルを置かれるものまで幅広く存在します。持ち主が気づかないまま、訪問者や取引先に被害を広げてしまう点が特徴です。

確認の方法と順番を知っておくと、取引先から「御社のHPを開いたら警告が出た」と言われたときにも、自社でできる確認と、制作会社や専門家に頼む確認を迷わず切り分け可能です。

本記事では、無料で外から確かめる4つの手順・サーバーの中の確かめ方・感染が見つかったときの初動をまとめています。さらに、確認ツールで見つからない感染への考え方と、再発を防ぐ点検の頻度も紹介します。

ホームページのウイルス感染を確認する方法の早見表

ホームページのウイルス感染は、外から確かめる方法と、サーバーの中を確かめる方法の2段階で確認します。外からの確認は無料で誰でもできますが、Google などがすでに見つけた問題しか分からないからです。

ここでは、確認の方法ごとに、分かること・費用・誰がやるかを早見表にまとめます。

確認の方法	分かること	費用	誰がやるか
Google のサイトステータス	Google セーフブラウジングが危険と判定しているか	無料	社内の誰でも
Search Console の「セキュリティの問題」	Google が見つけたハッキング・マルウェアと、例のURL	無料（登録が必要）	登録している人
VirusTotal	70以上のウイルス対策エンジンやブロックリストの判定	非商用は無料	社内の誰でも
検索結果の確認	身に覚えのないページ・別のサイトへの転送	無料	社内の誰でも
サーバーの中のファイル・ログの確認	書き換えられたファイル、侵入の痕跡	依頼する場合は費用がかかる	制作会社・保守会社・専門家

※2026年10月時点・Google 検索セントラル、Search Console ヘルプ、VirusTotal Docs より

上記のとおり、まず無料の4つで外から確かめ、気になる点があればサーバーの中の確認に進みます。

ホームページがウイルスを配る状態と、感染を疑う症状

ホームページがウイルスを配る状態とは、多くの場合、HPが改ざんされて、訪問者の端末に悪いものを届ける仕掛けを入れられた状態です。HPそのものがパソコンのようにウイルスにかかるというより、攻撃者に書き換えられたHPが、訪問者への攻撃の道具にされます。

ここでは、仕掛けの種類と、持ち主が気づくきっかけになる症状を紹介します。

改ざんで入れられる仕掛けの種類

改ざんで入れられる仕掛けは、ページ・設定ファイル・データベースなど、HPのさまざまな場所に入ります。Google の web.dev は、マルウェアを含むハッキングの例を次のように挙げています（web.dev）。

仕掛けの種類	何が起きるか
ページに不正なスクリプトや iframe（ページの中に別のページを埋め込む仕組み）を入れられる	開いただけで、攻撃者のサイトの中身が読み込まれる
.htaccess（サーバーの動きを決める設定ファイル）を書き換えられる	訪問者が攻撃者のサイトへ転送される
データベースに不正なコードを入れられる	ページを表示するたびに不正なコードが配られる
エラーページを書き換えられる	「ページが見つかりません」の画面から外部の不正なページが読み込まれる
外部から読み込むスクリプトや画像が乗っ取られる	自社のファイルは無事でも、訪問者に不正なコードが届く

上記の仕掛けは、見た目が変わらないことも多く、ページを眺めるだけでは気づけません。

ウイルス感染を疑う症状

ウイルス感染を疑うきっかけは、HPの見た目より、検索結果や訪問者の反応に表れることが多いです。仕掛けの多くは、持ち主ではなく訪問者を狙って動くからです。

感染を疑う症状は、以下のとおりです。

• 取引先やお客さまから「警告が出た」「別のサイトに飛ばされた」と言われた
• 検索結果に「このサイトは第三者によってハッキングされている可能性があります」と出る
• 検索結果に身に覚えのないページが出る
• 載せた覚えのない広告やポップアップが出る
• サーバー会社から改ざんやウイルスの疑いの連絡が来た

検索結果の警告は、Google がサイトの修正を確認するまで消えません（Google 検索ヘルプ）。ほかの症状もまとめて確かめたい場合は、HPがおかしい？ 改ざんの前ぶれを症状別に確かめるチェック表を使いましょう。

ウイルス感染の確認を始める前に決めておくこと

ウイルス感染の確認は、始める前に3つのルールを決めておくことが重要です。確認のつもりの操作で、社内の端末を危険にさらしたり、調査の手がかりを消したりすることがあるからです。

ここでは、確認の前に社内で決めておくことを3つ紹介します。

• 怪しいページを社内のパソコンで何度も開かない：Google も、感染が疑われるページをブラウザで直接開くのは避けるよう勧めている
• 会員ページや社内資料のURLを外部の確認ツールに送らない：送ったURLの結果が第三者に共有されるツールがある
• 見つけたファイルをすぐ消さない：何が書き換えられたかが分からなくなる

上記のルールを守ったうえで、外からの確認に進みます。

自社のHPが感染しているか外から確認する手順【4STEP】

自社のHPが感染しているかは、サーバーに入らなくても、無料の4つの方法で外から確かめられます。どの方法も、HPのURLを入れるか、検索するだけで使えるからです。

ここでは、外からの確認を4つの手順で紹介し、最後に結果から自社が対象かを判断する表をまとめます。

【STEP1】Google のサイトステータスで調べる

最初に、Google 透明性レポートの「サイトステータス」で自社のドメインを調べます。サイトステータスでは、URL やドメインを入れると、Google セーフブラウジング（危険なサイトを見分ける Google の仕組み）の判定を、ページを開かずに確かめられるからです（Google 検索セントラル ブログ）。

たとえば、自社のドメイン（例：example.co.jp）を入れ、問題が見つからないという結果なら、Google はその時点で問題を見つけていません。

ただし、問題が出たときは、表示された内容をスクリーンショットで残してから次の手順に進んでください。

【STEP2】Search Console の「セキュリティの問題」を見る

次に、Search Console（HPの状態を確かめる Google の無料ツール）を登録していれば、「セキュリティの問題」を開きます。Google がハッキングやマルウェアを見つけていれば、問題の種類と影響を受けたページの例が表示されるからです（Search Console ヘルプ）。

あわせて、「設定」→「ユーザーと権限」で、知らない所有者がいないかも確かめます。Google は、覚えのない所有者を見つけた場合は、ハッキングされている可能性があると案内しています（Search Console ヘルプ）。

ただし、表示される例のURLは一部にすぎず、例が出ない場合も影響がないとは限りません。何か出たときの対処は、Search Console に「セキュリティの問題」と出たときの対処にまとめています。

【STEP3】VirusTotal でトップページのURLを調べる

3つ目に、VirusTotal で自社HPのトップページのURLを調べます。VirusTotal は、70以上のウイルス対策エンジンやブロックリスト（危険なサイトの一覧）でURLを一度に調べられるサービスで、非商用の利用は無料です（VirusTotal Docs）。

たとえば、1つか2つのエンジンだけが危険と判定し、ほかが問題なしの場合は、誤検知の可能性もあります。判定したエンジンの名前を記録し、ほかの確認の結果とあわせて判断します。

ただし、VirusTotal の調べた結果は公開のコミュニティにも共有されます。公開しているページのURLだけを調べ、会員ページのURLや社内資料は送らないでください。

【STEP4】検索結果から自社HPを確かめる

最後に、Google の検索結果から自社HPを確かめます。改ざんの中には、検索から来た人にだけ別のサイトを見せたり、大量のスパムのページを作ったりするものがあるからです。

確かめることは、以下のとおりです。

• site:自社のドメイン で検索し、身に覚えのないページが出ないか
• 検索結果に警告の文言が出ていないか
• 社名で検索し、検索結果から開いたときに別のサイトに飛ばされないか

身に覚えのないページが見つかったときは、検索結果に身に覚えのないページが出る（日本語スパム・中国語のページ）の手順で確かめましょう。

外からの確認の結果で判断する

外からの4つの確認の結果は、次の表で判断します。

確かめた結果	判断	次にやること
4つとも問題なし、ほかの症状もない	外から分かる問題は見つかっていない	定期的な確認を続ける
どれか1つでも問題が出た	感染（改ざん）の疑いあり	感染が見つかったときの初動へ
外からは問題なしだが、取引先からの指摘などほかの症状がある	条件つきの仕掛けの可能性	サーバーの中の確認を頼む
VirusTotal で1〜2のエンジンだけが危険と判定	誤検知の可能性もある	ほかの3つの確認とあわせて判断する

上記の表で「疑いあり」になった場合は、HPを触る前に、次の見出しの内容を制作会社か保守会社に伝えましょう。

サーバーの中でウイルス感染を確認する方法

サーバーの中の確認は、制作会社・保守会社・専門家に頼む部分です。サーバーの管理画面やファイルに入る権限と、正常なファイルと書き換えられたファイルを見分ける知識が要るからです。

ここでは、依頼するときに伝えたい確認の項目を5つ紹介します。自社で作業する場合も、同じ項目を確かめます。

ファイルの追加と更新日時を比べる

ファイルの確認では、正常だったころのバックアップと今のファイルを比べ、追加・変更されたファイルを探します。改ざんでは、見覚えのない PHP のファイルが増えたり、既存のファイルに不正なコードが書き足されたりするからです。

たとえば、誰も更新していない時期に、更新日時が変わっているファイルは要注意です。

ただし、更新日時は攻撃者が書き換えることもあるため、日時だけで判断しないでください。

.htaccess と読み込まれるスクリプトを確かめる

設定ファイルの確認では、.htaccess に知らない転送の設定がないか、ページに知らないドメインを読み込むスクリプトや iframe がないかを確かめます。転送や外部の読み込みは、訪問者を攻撃者のサイトへ誘導する典型的な仕掛けだからです。

たとえば、わざと読みにくく書き換えられた（難読化された）スクリプトは、正常なサイトにはあまりない書き方です。

データベースと管理者アカウントを確かめる

WordPress などのデータベースを使うHPでは、投稿やオプションの中に不正なコードがないか、知らない管理者アカウントがないかを確かめます。データベースに入れられたコードは、ファイルを比べるだけでは見つからないからです。

たとえば、WordPress の「ユーザー」の一覧に、作った覚えのない「管理者」がいれば、侵入された可能性が高いです。

アクセスログとエラーログを確かめる

ログの確認では、ログインの失敗の繰り返しや、管理画面への不審なアクセスがないかを確かめます。ログは、いつ・どこから入られたかを知るための手がかりだからです。

ただし、レンタルサーバーのログは保存期間が決まっていることがあります。調べる前にログを保存しておくよう頼みましょう。

セキュリティプラグインでスキャンする

WordPress のHPでは、セキュリティプラグインのマルウェアスキャンも手がかりになります。プラグインによっては、既知の不正なコードや、WordPress 本体の公式のファイルとの違いを一度に調べられるからです。

ただし、プラグインのスキャンで見つからない仕掛けもあり、問題なしの結果だけで安全とは言えません。プラグインで防げるものと防げないものは、WordPress のセキュリティプラグインだけで足りる？ 入れても防げないもので解説しています。

確認ツールで感染が見つからないときに考えること

確認ツールで感染が見つからなくても、症状が続くなら、条件つきで動く仕掛けを疑います。Google の web.dev は、どこから来たか（リファラー）や、どのブラウザ・端末か（ユーザーエージェント）によって、表示や転送を切り替える例を挙げています（web.dev）。

ここでは、ツールで見つからないときによくある症状と、考えられる原因・対処を表にまとめます。

症状	考えられる原因	対処
社内で開くと正常、取引先だけ警告が出る	検索経由やスマホにだけ動く仕掛け	取引先に端末・開き方を聞き、サーバーの中の確認を頼む
Search Console に問題が出るが、ブラウザで見ても分からない	Google のクローラーにだけ見せる仕掛け	Search Console の URL 検査ツールで Google が見ているページを確かめる
外からの確認はすべて問題なしだが、検索結果に知らないページが出る	スパムのページを大量に作られている	サーバーのファイルとデータベースの確認を頼む
一度消したのに、また仕掛けが入る	侵入の入口やバックドア（裏口のプログラム）が残っている	入口の特定と、正常なバックアップからの復元を頼む

上記のどれかに当てはまる場合は、自社だけで確かめ続けるより、サーバーの中を見られる人に早めに相談しましょう。

ホームページのウイルス感染が見つかったときの初動【5STEP】

ホームページのウイルス感染が見つかったときは、ファイルを消すより先に、今の状態を残すことが重要です。先に消すと、何が書き換えられ、どこから入られたかが分からなくなり、再発を防げなくなるからです。

ここでは、感染が見つかったときの初動を5つの手順で紹介します。

1. 記録を残す：どの方法で、いつ、何が出たかを、スクリーンショットとメモで残す
2. バックアップを取る：今の状態のファイルとデータベースを、改ざんされたまま保存する
3. 関係者に連絡する：制作会社・保守会社・サーバー会社に、記録した内容を伝える
4. ログイン情報を変える：サーバーの管理画面、FTP（ファイルを送る仕組み）、WordPress の管理者のログイン情報を変える
5. 原因を調べて直す：不正なコードを取り除き、入口になった古い WordPress・プラグイン・PHP を更新する

Google の警告が出ていた場合は、サイト全体を直してから、Search Console で審査をリクエストします。改ざんが確かなときの詳しい手順は、HPが改ざんされたときに最初にやることにまとめています。

ウイルス感染の確認で専門家に相談すべきとき

ウイルス感染の疑いがあり、サーバーの中を確かめられる人が社内にいない場合は、専門家に相談すべきです。外からの確認で分かるのは疑いまでで、原因の特定と駆除にはサーバーの中を調べる必要があるからです。

ここでは、専門家に相談したほうがよい条件を5つ挙げます。

• 外からの確認のどれかで問題が出た
• 検索結果やブラウザに警告が出ている
• 一度直したのに、また同じ症状が出た
• 問い合わせフォームやネットショップで個人情報を扱っている
• 制作会社と連絡がつかず、サーバーに入れる人がいない

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

すでに取引先やお客さまから指摘を受けているなら、ひとりで抱え込まずに相談してください。

ホームページのウイルス感染を定期的に確認して再発を防ぐ

ホームページのウイルス感染は、一度確かめて終わりではなく、定期的に確かめることが重要です。今日問題がなくても、古い WordPress やプラグインを放っておけば、あとから入られることがあるからです。

ここでは、続けたい確認と頻度の目安を表にまとめます。

続ける確認	頻度の目安	担当
Search Console の通知メールを受け取れるようにする	登録は1回、メールは届いたらすぐ確認	社内
サイトステータスと site: 検索での確認	月1回	社内
WordPress・プラグイン・テーマ・PHP の更新	更新が出たとき	制作会社・保守会社
正常な状態のバックアップの保存と、戻せるかの確認	毎日〜毎週の保存、戻す確認は年1回以上	制作会社・保守会社
ログの保存とファイルの変更の確認	月1回	制作会社・保守会社

上記の頻度は目安です。社内のパソコンのウイルス対策ソフトはサーバーの上のHPまでは調べないため、HPの点検はサーバー側で続ける必要があります。

まとめ

• ホームページのウイルス感染の多くは、改ざんで訪問者を狙う仕掛けを入れられた状態
• まずサイトステータス・Search Console・VirusTotal・検索結果の4つで、外から無料で確かめる
• 外から問題がなくても、条件つきで動く仕掛けは見つからないことがあり、サーバーの中の確認を頼む
• 感染が見つかったら、消す前に記録とバックアップを取り、ログイン情報と侵入の入口まで直す

外からの確認で気になる点があれば、サーバーの中を見られる人に早めに相談することから始めてください。